URTEIL DES GERICHTSHOFS (Zweite Kammer)
11. November 2020(*)
„Vorlage zur Vorabentscheidung – Richtlinie 95/46/EG – Art. 2 Buchst. h und Art. 7 Buchst. a – Verordnung (EU) 2016/679 – Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a – Verarbeitung personenbezogener Daten – Sammlung und Aufbewahrung von Kopien von Ausweisdokumenten durch einen Anbieter von Mobiltelekommunikationsdiensten – Begriff der ‚Einwilligung‘ der betroffenen Person – Willensbekundung ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage – Einwilligungserklärung mittels Ankreuzkästchen – Unterzeichnung des Vertrags durch die betroffene Person – Beweislast“
In der Rechtssache C‑61/19
betreffend ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Tribunalul Bucureşti (Landgericht Bukarest, Rumänien) mit Entscheidung vom 14. November 2018, beim Gerichtshof eingegangen am 29. Januar 2019, in dem Verfahren
Orange România SA
gegen
Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)
erlässt
DER GERICHTSHOF (Zweite Kammer)
unter Mitwirkung des Kammerpräsidenten A. Arabadjiev sowie der Richter T. von Danwitz (Berichterstatter) und P. G. Xuereb,
Generalanwalt: M. Szpunar,
Kanzler: D. Dittert, Referatsleiter,
aufgrund des schriftlichen Verfahrens und auf die mündliche Verhandlung vom 11. Dezember 2019,
unter Berücksichtigung der Erklärungen
– der Orange România SA, vertreten durch D.‑D. Dascălu, A.‑M. Iordache und I. Buga, avocaţi,
– der Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), vertreten durch A. G. Opre und I. Ilie als Bevollmächtigte,
– der rumänischen Regierung, zunächst vertreten durch E. Gane, O.‑C. Ichim, L. Liţu und C.‑R. Canţăr, dann durch E. Gane, O.‑C. Ichim und L. Liţu als Bevollmächtigte,
– der italienischen Regierung, vertreten durch G. Palmieri als Bevollmächtigte im Beistand von M. Russo, avvocato dello Stato,
– der österreichischen Regierung, zunächst vertreten durch J. Schmoll und G. Hesse, dann durch J. Schmoll als Bevollmächtigte,
– der portugiesischen Regierung, vertreten durch L. Inez Fernandes, P. Barros da Costa, L. Medeiros und I. Oliveira als Bevollmächtigte,
– der Europäischen Kommission, vertreten durch H. Kranenborg, D. Nardi und L. Nicolae als Bevollmächtigte,
nach Anhörung der Schlussanträge des Generalanwalts in der Sitzung vom 4. März 2020
folgendes
Urteil
1 Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 2 Buchst. h der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, L 281, S. 31) und von Art. 4 Nr. 11 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1).
2 Dieses Ersuchen ergeht im Rahmen eines Rechtsstreits zwischen der Orange România SA und der Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (Nationale Behörde zur Überwachung der Verarbeitung personenbezogener Daten, Rumänien) wegen einer Klage auf Aufhebung einer Entscheidung, mit der die ANSPDCP gegen Orange România ein Bußgeld verhängt hat, weil diese Kopien von Ausweisdokumenten ihrer Kunden ohne deren gültige Einwilligung gesammelt und aufbewahrt hatte, und von ihr verlangt hat, diese Kopien zu vernichten.
Rechtlicher Rahmen
Unionsrecht
Richtlinie 95/46
3 Im 38. Erwägungsgrund der Richtlinie 95/46 heißt es, dass „Datenverarbeitung nach Treu und Glauben voraus[setzt], dass die betroffenen Personen in der Lage sind, das Vorhandensein einer Verarbeitung zu erfahren und ordnungsgemäß und umfassend über die Bedingungen der Erhebung informiert zu werden, wenn Daten bei ihnen erhoben werden“.
4 Nach Art. 2 Buchst. h dieser Richtlinie bezeichnet im Sinne dieser Richtlinie der Ausdruck
„,Einwilligung der betroffenen Person‘ jede Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt und mit der die betroffene Person akzeptiert, dass personenbezogene Daten, die sie betreffen, verarbeitet werden.“
5 Art. 6 dieser Richtlinie sieht vor:
„(1) Die Mitgliedstaaten sehen vor, dass personenbezogene Daten
a) nach Treu und Glauben und auf rechtmäßige Weise verarbeitet werden;
…
(2) Der für die Verarbeitung Verantwortliche hat für die Einhaltung des Absatzes 1 zu sorgen.“
6 In Art. 7 Buchst. a dieser Richtlinie heißt es:
„Die Mitgliedstaaten sehen vor, dass die Verarbeitung personenbezogener Daten lediglich erfolgen darf, wenn eine der folgenden Voraussetzungen erfüllt ist:
a) Die betroffene Person hat ohne jeden Zweifel ihre Einwilligung gegeben …“
7 Art. 10 dieser Richtlinie bestimmt:
„Die Mitgliedstaaten sehen vor, dass die Person, bei der die sie betreffenden Daten erhoben werden, vom für die Verarbeitung Verantwortlichen oder seinem Vertreter zumindest die nachstehenden Informationen erhält, sofern diese ihr noch nicht vorliegen:
a) die Identität des für die Verarbeitung Verantwortlichen und gegebenenfalls seines Vertreters;
b) Zweckbestimmungen der Verarbeitung, für die die Daten bestimmt sind,
c) weitere Informationen, beispielsweise betreffend
– die Empfänger oder Kategorien der Empfänger der Daten,
– die Frage, ob die Beantwortung der Fragen obligatorisch oder freiwillig ist, sowie mögliche Folgen einer unterlassenen Beantwortung,
– das Bestehen von Auskunfts- und Berichtigungsrechten bezüglich sie betreffender Daten,
sofern sie unter Berücksichtigung der spezifischen Umstände, unter denen die Daten erhoben werden, notwendig sind, um gegenüber der betroffenen Person eine Verarbeitung nach Treu und Glauben zu gewährleisten.“
Verordnung 2016/679
8 Die Erwägungsgründe 32 und 42 der Verordnung 2016/679 lauten:
„(32) Die Einwilligung sollte durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist, etwa in Form einer schriftlichen Erklärung, die auch elektronisch erfolgen kann, oder einer mündlichen Erklärung. Dies könnte etwa durch Anklicken eines Kästchens beim Besuch einer Internetseite, durch die Auswahl technischer Einstellungen für Dienste der Informationsgesellschaft oder durch eine andere Erklärung oder Verhaltensweise geschehen, mit der die betroffene Person in dem jeweiligen Kontext eindeutig ihr Einverständnis mit der beabsichtigten Verarbeitung ihrer personenbezogenen Daten signalisiert. Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person sollten daher keine Einwilligung darstellen. Die Einwilligung sollte sich auf alle zu demselben Zweck oder denselben Zwecken vorgenommenen Verarbeitungsvorgänge beziehen. Wenn die Verarbeitung mehreren Zwecken dient, sollte für alle diese Verarbeitungszwecke eine Einwilligung gegeben werden. Wird die betroffene Person auf elektronischem Weg zur Einwilligung aufgefordert, so muss die Aufforderung in klarer und knapper Form und ohne unnötige Unterbrechung des Dienstes, für den die Einwilligung gegeben wird, erfolgen.
…
(42) Erfolgt die Verarbeitung mit Einwilligung der betroffenen Person, sollte der Verantwortliche nachweisen können, dass die betroffene Person ihre Einwilligung zu dem Verarbeitungsvorgang gegeben hat. Insbesondere bei Abgabe einer schriftlichen Erklärung in anderer Sache sollten Garantien sicherstellen, dass die betroffene Person weiß, dass und in welchem Umfang sie ihre Einwilligung erteilt. Gemäß der Richtlinie 93/13/EWG des Rates [vom 5. April 1993 über missbräuchliche Klauseln in Verbraucherverträgen (ABl. 1993, L 95, S. 29)] sollte eine vom Verantwortlichen vorformulierte Einwilligungserklärung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zur Verfügung gestellt werden, und sie sollte keine missbräuchlichen Klauseln beinhalten. Damit sie in Kenntnis der Sachlage ihre Einwilligung geben kann, sollte die betroffene Person mindestens wissen, wer der Verantwortliche ist und für welche Zwecke ihre personenbezogenen Daten verarbeitet werden sollen. Es sollte nur dann davon ausgegangen werden, dass sie ihre Einwilligung freiwillig gegeben hat, wenn sie eine echte oder freie Wahl hat und somit in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden.“
9 Art. 4 Nr. 11 dieser Verordnung sieht vor:
„,Einwilligung‘ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“.
10 Art. 5 der Verordnung bestimmt:
„(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (‚Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘);
…
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können (‚Rechenschaftspflicht‘).“
11 In Art. 6 Abs. 1 Buchst. a der Verordnung 2016/679 heißt es:
„(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
…“
12 Art. 7 Abs. 1, 2 und 4 der Verordnung 2016/679 lautet:
„(1) Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.
(2) Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist. Teile der Erklärung sind dann nicht verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen.
…
(4) Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.“
13 Art. 13 Abs. 1 und 2 dieser Verordnung bestimmt:
„(1) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:
a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
…
c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
…
(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:
a) die Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer,
b) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
c) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird“.
14 Art. 94 Abs. 1 der Verordnung 2016/679 sieht vor:
„Die Richtlinie 95/46/EG wird mit Wirkung vom 25. Mai 2018 aufgehoben.“
15 Gemäß ihrem Art. 99 Abs. 2 gilt die Verordnung 2016/679 ab dem 25. Mai 2018.
Rumänisches Recht
16 Die Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Gesetz Nr. 677/2001 zum Schutz natürlicher Personen hinsichtlich der Verarbeitung personenbezogener Daten und zum freien Verkehr dieser Daten) (Monitorul Oficial al României, Teil I, Nr. 790 vom 12. Dezember 2001) dient der Umsetzung der Bestimmungen der Richtlinie 95/46 in innerstaatliches Recht.
17 In Art. 5 Abs. 1 dieses Gesetzes heißt es:
„(1) Eine Verarbeitung personenbezogener Daten darf nur erfolgen, wenn die betroffene Person ohne jeden Zweifel ihre ausdrückliche Einwilligung in diese Verarbeitung erteilt hat, es sei denn, sie betrifft Daten der in Art. 7 Abs. 1 und in den Art. 8 und 10 genannten Kategorien.
…“
18 Art. 8 dieses Gesetzes bestimmt:
„(1) Die Verarbeitung der Personenkennnummer oder anderer personenbezogener Daten mit Identifikationsfunktion mit allgemeiner Geltung darf nur erfolgen, wenn
a) die betroffene Person ausdrücklich einwilligt oder
b) die Verarbeitung ausdrücklich in einer gesetzlichen Vorschrift vorgesehen ist.
(2) Die Kontrollstelle kann auch andere Fälle festlegen, in denen die Verarbeitung der in Abs. 1 genannten Daten möglich ist, sofern sie angemessene Garantien zur Wahrung der Rechte der betroffenen Personen aufstellt.“
19 Art. 32 des Gesetzes 677/2001 lautet:
„Die Verarbeitung personenbezogener Daten durch einen für die Verarbeitung Verantwortlichen oder eine von ihm bevollmächtigte Person, die gegen die Bestimmungen der Art. 4 bis 10 verstößt oder die in den Art. 12 bis 15 oder 17 vorgesehenen Rechte verletzt, stellt eine Ordnungswidrigkeit dar, sofern sie nicht unter Bedingungen erfolgt, nach denen sie eine Straftat darstellt, und wird mit einer Geldbuße von [1 000 RON] bis [25 000 RON] geahndet.“
Ausgangsverfahren und Vorlagefragen
20 Orange România bietet Mobiltelekommunikationsdienste auf dem rumänischen Markt an.
21 Mit Entscheidung vom 28. März 2018 verhängte die ANSPDCP gegen Orange România eine Geldbuße, weil diese Kopien der Ausweisdokumente ihrer Kunden aufbewahrt hatte, ohne nachgewiesen zu haben, dass diese Kunden eine gültige Einwilligung erteilt hatten, und gab ihr auf, diese Kopien zu vernichten.
22 In dieser Entscheidung stellte die ANSPDCP fest, dass Orange România im Zeitraum vom 1. März 2018 bis zum 26. März 2018 mit natürlichen Personen Verträge über Mobiltelekommunikationsdienste in Papierform geschlossen habe, wobei diesen Verträgen Kopien der Ausweisdokumente dieser Personen angeheftet worden seien. Orange România habe nicht nachgewiesen, dass ihre Kunden, deren Verträgen Kopien ihrer Ausweisdokumente angeheftet gewesen seien, eine gültige Einwilligung zur Sammlung und Aufbewahrung von Kopien dieser Dokumente erteilt hätten.
23 Die relevante Passage der in Rede stehenden Verträge lautete wie folgt:
„Der Kunde erklärt, dass
(i) er vor Abschluss des Vertrags … über den gewählten Tarif, die geltenden Tarife, die Mindestlaufzeit des Vertrags, die Bedingungen für die Beendigung des Vertrags und für den Empfang und die Nutzung der Dienste einschließlich des Abdeckungsgebiets der Dienste … informiert wurde;
(ii) Orange România dem Kunden alle Informationen zur Verfügung gestellt hat, die erforderlich sind, damit er seine mangelfreie, ausdrückliche, zwangsfreie und konkrete Einwilligung hinsichtlich des Abschlusses und der ausdrücklichen Annahme des Vertrags bekunden kann, einschließlich sämtlicher Vertragsunterlagen – der AGB und der Broschüre über die Tarife und Dienstleistungen;
(iii) er informiert worden ist und sein Einverständnis erklärt hat hinsichtlich:
– der Verarbeitung personenbezogener Daten zu den in Art. 1.15 der AGB genannten Zwecken;
– des Einbehaltens von Kopien der Dokumente, die personenbezogene Daten mit Identifikationsfunktion enthalten;
– des Einverständnisses bezüglich der Verarbeitung personenbezogener Daten (Telefonnummer, E‑Mail-Adresse) zum Zweck der Direktwerbung;
– des Einverständnisses bezüglich der Verarbeitung personenbezogener Daten (Telefonnummer, E‑Mail-Adresse) zur Durchführung von Marktstudien;
– ich habe das Einbehalten von Kopien der Dokumente, die personenbezogene Daten über den Gesundheitszustand enthalten, zur Kenntnis genommen und bin ausdrücklich damit einverstanden;
– dass die in Art. 1.15 Abs. 10 der AGB genannten Daten nicht in die Informationsdienste betreffend die Abonnenten und in die Abonnentenverzeichnisse aufgenommen werden.“
24 Orange România erhob gegen die Entscheidung vom 28. März 2018 Klage beim Tribunalul Bucureşti (Landgericht Bukarest, Rumänien).
25 Nach den Feststellungen des vorlegenden Gerichts gibt es zum einen Verträge, in denen das Kästchen, das die Klausel in Bezug auf die Aufbewahrung der Kopien von Dokumenten, die personenbezogene Daten mit Identifikationsfunktion enthielten, betroffen habe, angekreuzt worden sei, und zum anderen Verträge, bei denen ein solches Kreuz fehle. Ungeachtet der Bestimmungen in den AGB von Orange România habe diese den Abschluss von Abonnementverträgen mit Kunden, die es abgelehnt hätten, in die Einbehaltung einer Kopie ihrer Ausweisdokumente einzuwilligen, nicht abgelehnt. Das vorlegende Gericht weist ferner darauf hin, dass die „internen Verfahren“ von Orange România zum Verkauf vorgesehen hätten, dass diese Weigerung in einem speziellen Vordruck zu dokumentieren sei, der von diesen Kunden vor Vertragsabschluss zu unterzeichnen sei.
26 Das vorlegende Gericht fragt sich, ob unter diesen Umständen davon ausgegangen werden kann, dass die betreffenden Kunden in die Sammlung ihrer Ausweisdokumente und der Anheftung von Kopien davon an ihre Verträge gültig eingewilligt haben. Außerdem fragt es sich, ob mit der Unterzeichnung eines Vertrags, in dem es eine Klausel über die Aufbewahrung von Kopien von Dokumenten, die personenbezogene Daten mit Identifikationsfunktion enthalten, gibt, das Vorliegen einer solchen Einwilligung nachgewiesen werden kann.
27 Unter diesen Umständen hat das Tribunalul București (Landgericht Bukarest) beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:
1. Welche Voraussetzungen müssen im Sinne von Art. 2 Buchst. h der Richtlinie 95/46 erfüllt sein, damit eine Willensbekundung als für den konkreten Fall und in Kenntnis der Sachlage erfolgt angesehen werden kann?
2. Welche Voraussetzungen müssen im Sinne von Art. 2 Buchst. h der Richtlinie 95/46 erfüllt sein, damit eine Willensbekundung als ohne Zwang erfolgt angesehen werden kann?
Zu den Vorlagefragen
28 Vorab ist zu ermitteln, ob die Richtlinie 95/46 und die Verordnung 2016/679 auf den Sachverhalt des Ausgangsverfahrens anzuwenden sind.
29 Mit Wirkung vom 25. Mai 2018 wurde die Richtlinie 95/46 gemäß Art. 94 Abs. 1 und Art. 99 Abs. 2 der Verordnung 2016/679 durch diese aufgehoben und ersetzt.
30 Da die im Ausgangsverfahren in Rede stehende Entscheidung der ANSPDCP am 28. März 2018 und somit vor dem 25. Mai 2018 erlassen wurde, ist das vorlegende Gericht zu Recht der Ansicht, dass die Richtlinie 95/46 in zeitlicher Hinsicht auf den Ausgangsrechtsstreit anwendbar ist.
31 Aus den dem Gerichtshof vorgelegten Akten geht jedoch auch hervor, dass die ANSPDCP mit ihrer Entscheidung Orange România nicht nur eine Geldbuße auferlegt hat, sondern ihr auch aufgegeben hat, die Kopien der in Rede stehenden Ausweisdokumente zu vernichten, und dass es im Ausgangsrechtsstreit auch um die letztgenannte Anordnung geht. Da die Akten keinen Hinweis darauf enthalten, dass der Anordnung vor dem 25. Mai 2018 Folge geleistet worden wäre, ist nicht ausgeschlossen, dass die Verordnung 2016/679 im vorliegenden Fall auf diese Anordnung in zeitlicher Hinsicht anwendbar ist (vgl. in diesem Sinne Urteil vom 1. Oktober 2019, Planet49, C‑673/17, EU:C:2019:801, Rn. 41).
32 Unter diesen Umständen sind die Fragen des vorlegenden Gerichts sowohl auf der Grundlage der Richtlinie 95/46 als auch auf der Grundlage der Verordnung 2016/679 zu beantworten, um dem Gerichtshof eine sachdienliche Beantwortung dieser Fragen zu ermöglichen (vgl. entsprechend Urteil vom 1. Oktober 2019, Planet49, C‑673/17, EU:C:2019:801, Rn. 43).
33 Mit seinen beiden Vorlagefragen, die zusammen zu prüfen sind, möchte das vorlegende Gericht wissen, ob Art. 2 Buchst. h und Art. 7 Buchst. a der Richtlinie 95/46 sowie Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a der Verordnung 2016/679 dahin auszulegen sind, dass ein Vertrag über die Erbringung von Telekommunikationsdiensten, der eine Klausel enthält, dass die betroffene Person über die Sammlung und die Aufbewahrung einer Kopie ihres Ausweisdokuments mit Identifikationsfunktion informiert worden ist und darin eingewilligt hat, als Nachweis dafür geeignet sein kann, dass diese Person ihre Einwilligung in die Sammlung und Aufbewahrung dieser Dokumente im Sinne dieser Bestimmungen gültig erteilt hat.
34 In diesem Zusammenhang ist darauf hinzuweisen, dass Art. 7 der Richtlinie 95/46 und Art. 6 der Verordnung 2016/679 eine abschließende Aufzählung der Fälle enthalten, in denen die Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann (vgl. in Bezug auf Art. 7 der Richtlinie 95/46 Urteile vom 19. Oktober 2016, Breyer, C‑582/14, EU:C:2016:779, Rn. 57 und die dort angeführte Rechtsprechung, sowie vom 1. Oktober 2019, Planet49, C‑673/17, EU:C:2019:801, Rn. 53). Art. 7 Buchst. a dieser Richtlinie und Art. 6 Abs. 1 Buchst. a dieser Verordnung sehen insbesondere vor, dass die Einwilligung der betroffenen Person eine solche Verarbeitung rechtmäßig machen kann.
35 Was die Anforderungen an eine solche Einwilligung betrifft, bestimmt Art. 7 Buchst. a dieser Richtlinie, dass die betroffene Person „ohne jeden Zweifel ihre Einwilligung gegeben“ haben muss, während Art. 2 Buchst. h der Richtlinie 95/46 den Begriff „Einwilligung“ definiert als „jede Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt und mit der die betroffene Person akzeptiert, dass personenbezogene Daten, die sie betreffen, verarbeitet werden“. Da diese Bestimmungen vorsehen, dass die betroffene Person eine „Willensbekundung“ vornimmt, um „ohne jeden Zweifel“ ihre Einwilligung zu geben, kann nur ein aktives Verhalten dieser Person zum Ausdruck ihrer Einwilligung in Betracht gezogen werden (vgl. in diesem Sinne Urteil vom 1. Oktober 2019, Planet49, C‑673/17, EU:C:2019:801, Rn. 52 und 54).
36 Dieselbe Anforderung gilt auch im Rahmen der Verordnung 2016/679. Der Wortlaut von Art. 4 Nr. 11 dieser Verordnung, der u. a. für die Zwecke von Art. 6 Abs. 1 Buchst. a dieser Verordnung die „Einwilligung der betroffenen Person“ definiert, erscheint nämlich noch strenger als der Wortlaut von Art. 2 Buchst. h der Richtlinie 95/46, da er eine „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene“ Willensbekundung der betroffenen Person in Form einer Erklärung oder einer „eindeutigen bestätigenden Handlung“ verlangt, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Eine aktive Einwilligung ist in der Verordnung 2016/679 nunmehr also ausdrücklich vorgesehen (vgl. in diesem Sinne Urteil vom 1. Oktober 2019, Planet49, C‑673/17, EU:C:2019:801, Rn. 61 bis 63).
37 In diesem Zusammenhang wird im 32. Erwägungsgrund dieser Verordnung zwar ausgeführt, dass der Ausdruck der Einwilligung u. a. durch Anklicken eines Kästchens beim Besuch einer Website geschehen könnte, doch wird ausdrücklich ausgeschlossen, dass bei „Stillschweigen, bereits angekreuzte[n] Kästchen oder Untätigkeit“ eine Einwilligung vorliegt. Wie der Gerichtshof bereits entschieden hat, ist es in einem solchen Fall praktisch unmöglich, objektiv zu bestimmen, ob der Nutzer einer Website tatsächlich seine Einwilligung in die Verarbeitung seiner personenbezogenen Daten gegeben hat, indem er die voreingestellte Markierung eines Kästchens nicht aufgehoben hat, und ob diese Einwilligung überhaupt in informierter Weise erteilt wurde. Es kann nämlich nicht ausgeschlossen werden, dass der Nutzer die dem voreingestellten Ankreuzkästchen beigefügte Information nicht gelesen hat oder dass er dieses Kästchen gar nicht wahrgenommen hat, bevor er seine Aktivität auf der von ihm besuchten Website fortsetzte (vgl. in diesem Sinne Urteil vom 1. Oktober 2019, Planet49, C‑673/17, EU:C:2019:801, Rn. 55 und 57).
38 Zudem muss die nach Art. 2 Buchst. h der Richtlinie 95/46 und Art. 4 Nr. 11 der Verordnung 2016/679 geforderte Willensbekundung „für den konkreten Fall“ erfolgen, was so zu verstehen ist, dass sie sich gerade auf die betreffende Datenverarbeitung beziehen muss und nicht aus einer Willensbekundung mit anderem Gegenstand abgeleitet werden kann (vgl. in Bezug auf Art. 2 Buchst. h der Richtlinie 95/46 Urteil vom 1. Oktober 2019, Planet49, C‑673/17, EU:C:2019:801, Rn. 58).
39 Insoweit erläutert Art. 7 Abs. 2 Satz 1 dieser Verordnung, dass, wenn die Einwilligung der betroffenen Person durch eine schriftliche Erklärung erfolgt, die noch andere Sachverhalte betrifft, das Ersuchen um Zustimmung in einer solchen Form erfolgen muss, dass es von den anderen Sachverhalten klar zu unterscheiden ist. Insbesondere geht aus der letztgenannten Bestimmung in Verbindung mit dem 42. Erwägungsgrund dieser Verordnung hervor, dass eine solche Erklärung in verständlicher und leicht zugänglicher Form zur Verfügung gestellt werden und in einer klaren und einfachen Sprache formuliert sein muss, insbesondere wenn es sich um eine Einwilligungserklärung handelt, die von dem für die Verarbeitung personenbezogener Daten Verantwortlichen vorformuliert ist.
40 Das sich aus Art. 2 Buchst. h der Richtlinie 95/46 und Art. 4 Nr. 11 der Verordnung 2016/679 ergebende Erfordernis, dass die Einwilligung „in Kenntnis der Sachlage“ bzw. „in informierter Weise“ erfolgen muss, bedeutet nach Art. 10 dieser Richtlinie in Verbindung mit ihrem 38. Erwägungsgrund sowie nach Art. 13 dieser Verordnung in Verbindung mit ihrem 42. Erwägungsgrund, dass der für die Verarbeitung Verantwortliche der betroffenen Person eine Information über alle Umstände im Zusammenhang mit der Verarbeitung der Daten in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zukommen lassen muss, da dieser Person insbesondere die Art der zu verarbeitenden Daten, die Identität des für die Verarbeitung Verantwortlichen, die Dauer und die Modalitäten dieser Verarbeitung sowie die Zwecke, die damit verfolgt werden, bekannt sein müssen. Solche Informationen müssen diese Person in die Lage versetzen, die Konsequenzen einer etwaigen von ihr erteilten Einwilligung leicht zu bestimmen, und gewährleisten, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird (vgl. entsprechend Urteil vom 1. Oktober 2019, Planet49, C‑673/17, EU:C:2019:801, Rn. 74).
41 Außerdem ergibt sich, wie die Kommission in ihren beim Gerichtshof eingereichten Erklärungen ausgeführt hat, aus Art. 10 Buchst. c zweiter Gedankenstrich der Richtlinie 95/46 sowie Art. 13 Abs. 2 Buchst. b und c der Verordnung 2016/679 in Verbindung mit deren 42. Erwägungsgrund, dass zur Sicherstellung einer echten Wahlfreiheit für die betroffene Person die Vertragsbestimmungen diese nicht über die Möglichkeit irreführen dürfen, einen Vertrag abschließen zu können, auch wenn sie sich weigert, in die Verarbeitung ihrer Daten einzuwilligen. In Ermangelung derartiger Informationen kann die Einwilligung dieser Person in die Verarbeitung ihrer personenbezogenen Daten weder als freiwillig erteilt noch im Übrigen als in Kenntnis der Sachlage oder in informierter Weise erteilt angesehen werden.
42 Hinzuzufügen ist, dass der für die Verarbeitung personenbezogener Daten Verantwortliche nach Art. 6 Abs. 1 Buchst. a und Abs. 2 der Richtlinie 95/46 sowie Art. 5 Abs. 1 Buchst. a der Verordnung 2016/679 u. a. die Rechtmäßigkeit der Verarbeitung dieser Daten zu gewährleisten hat und, wie Art. 5 Abs. 2 dieser Verordnung klarstellt, in der Lage sein muss, diese Rechtmäßigkeit nachzuweisen. Was insbesondere eine etwaige Einwilligung der betroffenen Person angeht, sieht Art. 7 Buchst. a der genannten Richtlinie vor, dass die betroffene Person „ohne jeden Zweifel“ ihre Einwilligung gegeben haben muss, was, wie der Generalanwalt in Nr. 56 seiner Schlussanträge ausgeführt hat, bedeutet, dass die Beweislast für das Vorliegen einer gültigen Einwilligung dem für die Verarbeitung Verantwortlichen obliegt. Art. 7 Abs. 1 der Verordnung 2016/679 sieht nunmehr vor, dass dieser Verantwortliche nachweisen können muss, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat, wenn die Verarbeitung auf einer Einwilligung beruht.
43 Im vorliegenden Fall hat Orange România in ihren beim Gerichtshof eingereichten Erklärungen ausgeführt, dass ihre Verkäufer die betroffenen Kunden während der Verfahren zum Abschluss der im Ausgangsverfahren in Rede stehenden Verträge vor deren Abschluss u. a. über den Zweck der Sammlung und Aufbewahrung der Kopien der Ausweisdokumente sowie über die Wahl, die die Kunden in Bezug auf diese Sammlung und Aufbewahrung hätten, unterrichtet hätten, bevor sie mündlich die Einwilligung dieser Kunden in die Sammlung und Aufbewahrung dieser Daten erhalten hätten. Das Kästchen in Bezug auf die Aufbewahrung der Kopien von Ausweisdokumenten sei somit allein auf der Grundlage der von den Betroffenen bei Vertragsschluss in diesem Sinne freiwillig erklärten Zustimmung angekreuzt worden.
44 Unter diesen Umständen soll mit dem Vorabentscheidungsersuchen im Wesentlichen geklärt werden, ob eine auf diese Art geltend gemachte Einwilligung in eine solche Verarbeitung personenbezogener Daten auf der Grundlage der in diesen Verträgen enthaltenen Vertragsklauseln nachgewiesen werden kann.
45 Dazu ergibt sich aus den Angaben in diesem Ersuchen, dass die genannten Verträge zwar die Klausel enthalten, dass die betroffenen Kunden informiert wurden und in die Aufbewahrung einer Kopie ihres Ausweisdokuments mit Identifikationsfunktion einwilligten, dass das diese Klausel betreffende Kästchen von den Verkaufsbediensteten von Orange România aber bereits angekreuzt worden war, bevor diese Kunden mit ihrer Unterschrift alle Vertragsklauseln, d. h. sowohl diese Klausel als auch andere nicht im Zusammenhang mit Datenschutz stehende Klauseln, akzeptierten. Ferner ergibt sich aus diesem Ersuchen, dass Orange România, ohne dass die im Ausgangsverfahren in Rede stehenden Verträge dies ausführen, damit einverstanden war, diese Verträge mit Kunden abzuschließen, die sich weigerten, in die Aufbewahrung einer Kopie ihres Ausweisdokuments einzuwilligen, und zugleich verlangte, dass diese Kunden in diesem Fall ein spezielles Formular unterzeichneten, in dem ihre Weigerung zum Ausdruck kam.
46 Da nach diesen Angaben die betroffenen Kunden das Kästchen, das diese Klausel betrifft, aber anscheinend nicht selbst angekreuzt haben, ist der bloße Umstand, dass dieses Kästchen angekreuzt wurde, nicht geeignet, eine positive Einwilligungserklärung dieser Kunden in die Sammlung und Aufbewahrung einer Kopie ihrer Personalausweise nachzuweisen. Wie der Generalanwalt in Nr. 45 seiner Schlussanträge ausgeführt hat, reicht nämlich der Umstand, dass diese Kunden die Verträge mit dem angekreuzten Kästchen unterzeichnet haben, für sich genommen nicht aus, um eine solche Einwilligung nachzuweisen, sofern keine Anhaltspunkte dafür vorliegen, dass diese Klausel tatsächlich gelesen und verstanden worden ist. Es ist Sache des vorlegenden Gerichts, die dafür erforderlichen Feststellungen zu treffen.
47 Da im Übrigen die angekreuzte Klausel in Bezug auf die Verarbeitung dieser Daten offensichtlich nicht in einer Form präsentiert worden ist, die sie klar von anderen Vertragsklauseln unterscheidet, obliegt es dem vorlegenden Gericht, zu beurteilen, ob unter Berücksichtigung der in Rn. 34 des vorliegenden Urteils ausgeführten Erwägungen davon ausgegangen werden kann, dass die Unterzeichnung dieser Verträge, die sich auf eine Vielzahl von Vertragsklauseln bezieht, eine konkrete Einwilligung in die Sammlung und Aufbewahrung personenbezogener Daten im Sinne von Art. 2 Buchst. h der Richtlinie 95/46 und Art. 4 Nr. 11 der Verordnung 2016/679 zum Ausdruck bringt.
48 Da sich die im Ausgangsverfahren in Rede stehende Vertragsklausel zudem darauf beschränkt, ohne irgendeinen anderen Hinweis die Identifikation als Zweck für die Aufbewahrung der Kopien der Personalausweise anzugeben, ist es Sache des vorlegenden Gerichts, zu prüfen, ob die Information der betroffenen Personen den Anforderungen von Art. 10 der Richtlinie 95/46 und Art. 13 der Verordnung 2016/679 genügt, in denen angegeben wird, welche Informationen der für die Verarbeitung Verantwortliche der Person, bei der er die sie betreffenden Daten erhebt, geben muss, um ihr gegenüber eine Verarbeitung der Daten nach Treu und Glauben zu gewährleisten.
49 Es ist ebenfalls Sache des vorlegenden Gerichts, zu prüfen, ob die im Ausgangsverfahren in Rede stehenden Vertragsbestimmungen die betroffene Person mangels näherer Angaben zu der Möglichkeit, den Vertrag trotz der Weigerung, in die Verarbeitung ihrer Daten einzuwilligen, abzuschließen, hinsichtlich dieses Punkts irreführen konnten und ob damit in Frage gestellt wird, dass die in dieser Unterschrift zum Ausdruck gebrachte Einwilligung in informierter Weise und in Kenntnis der Sachlage erfolgt ist.
50 Im Übrigen zeigt sich, wie der Generalanwalt in Nr. 60 seiner Schlussanträge ausgeführt hat, dass die Freiwilligkeit dieser Einwilligung dadurch in Frage gestellt wird, dass Orange România für den Fall der Verweigerung dieser Einwilligung unter Abweichung von dem normalen, zum Abschluss des Vertrags führenden Verfahren verlangt hat, dass der betroffene Kunde schriftlich erklärt, weder in die Sammlung noch in die Aufbewahrung der Kopie seines Ausweisdokuments einzuwilligen. Wie die Kommission in der mündlichen Verhandlung ausgeführt hat, ist eine solche zusätzliche Anforderung nämlich geeignet, die freie Entscheidung, sich dieser Sammlung und Aufbewahrung zu widersetzen, ungebührlich zu beeinträchtigen, was ebenfalls vom vorlegenden Gericht zu prüfen ist.
51 Wie sich aus den Erwägungen in den Rn. 35, 36 und 42 des vorliegenden Urteils ergibt, obliegt es jedenfalls Orange România als für die Verarbeitung der Daten Verantwortlicher, nachzuweisen, dass ihre Kunden ihre Einwilligung in die Verarbeitung ihrer personenbezogenen Daten durch aktives Verhalten bekundet haben, so dass Orange România nicht verlangen kann, dass sie ihre Weigerung aktiv bekunden.
52 Nach alledem ist auf die Vorlagefragen zu antworten, dass Art. 2 Buchst. h und Art. 7 Buchst. a der Richtlinie 95/46 sowie Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a der Verordnung 2016/679 dahin auszulegen sind, dass es dem für die Verarbeitung von Daten Verantwortlichen obliegt, nachzuweisen, dass die betroffene Person ihre Einwilligung in die Verarbeitung ihrer personenbezogenen Daten durch aktives Verhalten bekundet hat und dass sie vorher eine Information über alle Umstände im Zusammenhang mit dieser Verarbeitung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache erhalten hat, die sie in die Lage versetzt, die Konsequenzen dieser Einwilligung leicht zu ermitteln, so dass gewährleistet ist, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird. Ein Vertrag über die Erbringung von Telekommunikationsdiensten, der die Klausel enthält, dass die betroffene Person über die Sammlung und die Aufbewahrung einer Kopie ihres Ausweisdokuments mit Identifikationsfunktion informiert worden ist und darin eingewilligt hat, ist nicht als Nachweis dafür geeignet, dass diese Person ihre Einwilligung in die Sammlung und Aufbewahrung dieser Dokumente im Sinne dieser Bestimmungen gültig erteilt hat, wenn
– das Kästchen, das sich auf diese Klausel bezieht, von dem für die Verarbeitung der Daten Verantwortlichen vor Unterzeichnung dieses Vertrags angekreuzt worden ist oder wenn
– die Vertragsbestimmungen dieses Vertrags die betroffene Person über die Möglichkeit, den Vertrag abzuschließen, auch wenn sie sich weigert, in die Verarbeitung ihrer Daten einzuwilligen, irreführen können oder wenn
– die freie Entscheidung, sich dieser Sammlung und Aufbewahrung zu widersetzen, von diesem Verantwortlichen ungebührlich beeinträchtigt wird, indem verlangt wird, dass die betroffene Person zur Verweigerung ihrer Einwilligung ein zusätzliches Formular unterzeichnet, in dem diese Weigerung zum Ausdruck kommt.
Kosten
53 Für die Parteien des Ausgangsverfahrens ist das Verfahren ein Zwischenstreit in dem beim vorlegenden Gericht anhängigen Rechtsstreit; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.
Aus diesen Gründen hat der Gerichtshof (Zweite Kammer) für Recht erkannt:
Art. 2 Buchst. h und Art. 7 Buchst. a der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr sowie Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sind dahin auszulegen, dass es dem für die Verarbeitung von Daten Verantwortlichen obliegt, nachzuweisen, dass die betroffene Person ihre Einwilligung in die Verarbeitung ihrer personenbezogenen Daten durch aktives Verhalten bekundet hat und dass sie vorher eine Information über alle Umstände im Zusammenhang mit dieser Verarbeitung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache erhalten hat, die sie in die Lage versetzt, die Konsequenzen dieser Einwilligung leicht zu ermitteln, so dass gewährleistet ist, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird. Ein Vertrag über die Erbringung von Telekommunikationsdiensten, der die Klausel enthält, dass die betroffene Person über die Sammlung und die Aufbewahrung einer Kopie ihres Ausweisdokuments mit Identifikationsfunktion informiert worden ist und darin eingewilligt hat, ist nicht als Nachweis dafür geeignet, dass diese Person ihre Einwilligung in die Sammlung und Aufbewahrung dieser Dokumente im Sinne dieser Bestimmungen gültig erteilt hat, wenn
– das Kästchen, das sich auf diese Klausel bezieht, von dem für die Verarbeitung der Daten Verantwortlichen vor Unterzeichnung dieses Vertrags angekreuzt worden ist oder wenn
– die Vertragsbestimmungen dieses Vertrags die betroffene Person über die Möglichkeit, den Vertrag abzuschließen, auch wenn sie sich weigert, in die Verarbeitung ihrer Daten einzuwilligen, irreführen können oder wenn
– die freie Entscheidung, sich dieser Sammlung und Aufbewahrung zu widersetzen, von diesem Verantwortlichen ungebührlich beeinträchtigt wird, indem verlangt wird, dass die betroffene Person zur Verweigerung ihrer Einwilligung ein zusätzliches Formular unterzeichnet, in dem diese Weigerung zum Ausdruck kommt.
Unterschriften